JP2015219753A - 情報処理システム及び情報処理方法 - Google Patents

Abstract

【課題】サーバ装置の利用料を不必要に増大させず、サーバ装置の負荷が増大やＤｏＳ攻撃を受けた場合のサーバ装置の可用性の低下を防ぐ。【解決手段】通信ネットワーク２から通信データを受信して情報処理を行うサーバ装置（ＡＰサーバ１２）、通信データの受信制限を行う受信制限装置（ファイアウォール１０）、サーバ装置の負荷を監視する負荷監視装置２０、サーバ装置をスケールアウト又はスケールインするスケーリング制御装置２１、サーバ装置による情報処理の実行時のセキュリティ違反を検知するセキュリティ違反監視装置３２を備えた情報処理システム１において、サーバ装置の負荷が過負荷傾向にあり、かつ、セキュリティ違反が増加傾向にない場合はサーバ装置をスケールアウトし、サーバ装置の負荷が過負荷傾向にあり、かつ、セキュリティ違反が増加傾向にある場合は受信制限装置による受信制限を強化する。【選択図】図１

Description

本発明は、情報処理システム及び情報処理方法に関する。

情報処理システムの一形態として、クラウドコンピューティング（Cloud Computing）が普及しつつある。米国国立標準技術研究所（National Institute of Standards and Technology）は、クラウドコンピューティングの基本的な特徴として次に示す５つを定義している。
（１）オンデマンド・セルフサービス：サービスの利用や変更にあたって複雑な手続きを必要とせずにすぐに利用することができる。
（２）幅広いネットワークアクセス：インターネット経由のアクセスを代表とするアクセス形態に対応し、ＰＣやスマートフォンなどさまざまなデバイスから利用することができる。
（３）リソースの共用：クラウド利用者は、利用しているリソースの所在や限界を意識することなく、リソースを利用することができる。リソースは、大きなリソースプールを共有する形で提供（マルチテナント化）される。
（４）スピーディな拡張性：リソースの拡張性が高く、利用者への割り付けの変更やスケールアウトが伸縮自在に可能である（スケーラブル性）。
（５）サービスが計測可能：クラウドの利用者のサービスの使用量は計測され、利用者が閲覧することができる。

また近年、クラウドの利用形態の一つとして、ＩｏＴ（Internet of Things）の用途が期待されている。ＩｏＴとは、一意に識別可能なコンピュータ或いはデバイスがインターネットに接続され、デバイス同士が情報交換することにより相互に制御する仕組みである。とくにインダストリアルインターネット（Industrial Internet）と呼ばれる情報処理システムでは、デバイスや人をつなぎ、リアルタイムでデータを取得し、これに基づくアクションを行うことで、デバイスの稼動効率を高められると共に、人の待ち時間を減少させるといった効果が期待されている。

ＩｏＴ用途でクラウドを使う場合、クラウドは大量のデータを蓄積する情報処理システムとなり、ＰＣ（Personal Computer）などのデバイスから幅広いネットワークアクセスを経て、クラウドにデータが転送される。一方、デバイスは常にネットワークに接続できるとは限らないため、転送されるデータ量は変化しうる。転送できなかった分を一時的に蓄積しておき、転送できる時機に合わせて一斉に転送することもあるので、ますますデータ量は変化しうる。さらに、クラウド利用者或いはクラウド利用企業が新たなテナントを申し込むことによりクラウドに転送されるデータ量は増加し、テナントの利用が終了すれば、クラウドに転送されるデータ量は減少する。

一方、幅広いネットワークアクセスの形態を許すクラウドでは、ＤｏＳ（Denial of Service）攻撃の脅威に晒される機会が増える。ＤｏＳ攻撃には、特定のサイトに対して異常なデータ或いはパケットを大量に送りつけることによりサービスを停止させるタイプのものや、異なる複数の場所から同時に同一サイトに攻撃を仕掛けるタイプのものがある。また大量のデータを送りつけるのではなく、アプリケーションレベルの処理時にメモリを食い尽くすような攻撃方法も知られている。とくに昨今では、アプリケーションレベルのＤｏＳ攻撃として、ＸＭＬパーサの処理時にメモリを食い尽くすような特殊なＸＭＬデータを送りつける「Billion Laughs XML Attack」と呼ばれる攻撃に対する対策が課題となっている。

特許文献１には、ＯＳＩ（Open Systems Interconnection）参照モデルでのレイヤ５以上のサービスに対応するサーバに対してパケットを送信するＤｏＳ攻撃を、スループットの低下をもたらすことなく、効果的に防御できるようにすることを目的として、ファイアウォール装置が、レイヤ４以下のパケットに含まれる情報を基に、イングレス側から入力されたパケットを段階を追って処理することで、レイヤ５以上の情報を転送しているレイヤ４以下パケットを絞っていき、最終段階で、パケットのトラヒック量などを計測してそれが規定値以上あればＤｏＳ／ＤＤｏＳ（Distributed Denial of Service）攻撃であると判断することが記載されている。

特開２００６−６０５９９号公報

ところで、特許文献１に記載された技術には、とくにレイヤ５以上の攻撃に対する防御に関して以下の課題がある。

（１）ＤｏＳ攻撃の検知を、レイヤ５以上の情報を転送しているレイヤ４以下のパケットのトラヒック量の増加に基づいて判定しているため「Billion Laughs XML Attack」のようにトラヒック量を増大させることなくアプリケーションレベルでメモリを食いつぶすような攻撃を検知することができない。
（２）「Billion Laughs XML Attack」のようなアプリケーションを狙う攻撃をファイアウォール装置で検知するとなると、複雑な検知ロジックを組み込む必要があり、レイヤ５以上の攻撃の検知には性能上のボトルネックとなり、クラウドシステム全体から見た場合にファイアウォール装置が単一障害点になる。
（３）レイヤ５以上のＤｏＳ攻撃をアプリケーションサーバで見つけようとした場合、スケーラブルなクラウドシステムの構成では、ＤｏＳ攻撃を受けた場合にスケールアウトが発生して不必要な課金が生じる。

本発明は、このような課題に鑑みてなされたものであり、サーバ装置の利用料を不必要に増大させることなく、サーバ装置の負荷の増大やＤｏＳ攻撃を受けた場合におけるサーバ装置の可用性の低下を防ぐことが可能な情報処理システム及び情報処理方法を提供することを目的としている。

上記目的を達成するための本発明の一つは、情報処理システムであって、通信ネットワークを介して送られてくる通信データを受信して情報処理を行うサーバ装置、前記通信データの受信制限を行う受信制限装置、前記サーバ装置の負荷を監視する負荷監視装置、前記サーバ装置の負荷に応じて前記サーバ装置をスケールアウト又はスケールインするスケーリング制御装置、前記サーバ装置による前記情報処理の実行時のセキュリティ違反を検知するセキュリティ違反監視装置、及び、前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にない場合は前記サーバ装置をスケールアウトし、前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にある場合は前記受信制限装置による前記受信制限を強化する総合判定制御装置を備えることとする。

その他、本願が開示する課題、及びその解決方法は、発明を実施するための形態の欄、及び図面により明らかにされる。

本発明によれば、サーバ装置の利用料を不必要に増大させることなく、サーバ装置の負荷の増大やＤｏＳ攻撃を受けた場合におけるサーバ装置の可用性の低下を防ぐことできる。

情報処理システム１の概略的な構成を示す図である。 ＡＰサーバ１２や各可用性維持装置を実現する情報処理装置のハードウエアの一例である。 負荷監視データ３００の一例である。 ＡＰサーバ１２の状態遷移図である。 スケーリング制御データ５００の一例である。 課金管理データ６００のデータ構造のイメージ図（ヒストグラム）である。 検査項目設定画面７００の一例である。 セキュリティ違反データ８００の一例である。 検査処理Ｓ９００を説明するフローチャートである。 総合判定制御処理Ｓ１０００を説明するフローチャートである。 時系列監視マトリクス１１００の一例である。 ネットワーク機器制御データ１２００の一例である。 スケーリング総合判定画面１３００の一例である。 第３実施例として示す情報処理システム１の概略的な構成を示す図である。

以下、実施形態について図面を参照しつつ説明する。尚、以下の説明において、符号を構成するアルファベットの表記を省略することにより構成を総称することがある（例えば、「ＡＰサーバ１２ａ」を「ＡＰサーバ１２」と表記して総称する場合等）。

＝第１実施例＝
図１に第１実施例として説明する情報処理システム１の概略的な構成を示している。情報処理システム１は、クラウドシステムのリソースを用いて構成されている。同図に示すように、情報処理システム１は、通信ネットワーク２を介してクラウド利用装置３から送られてくる通信データ（処理要求（例えば、ＨＴＴＰ（HyperText Transfer Protocol）通信におけるｈｔｔｐリクエスト）、計測されたデータ等）を受信して情報処理を行う情報処理装置である複数のＡＰサーバ１２（サーバ装置）、並びにＡＰサーバ１２の可用性を維持するための様々な構成を備えている。

通信ネットワーク２は、クラウド利用装置３へのなりすましや情報処理システム１に対するＤｏＳ（Denial of Service）攻撃（サービス妨害攻撃、サービス提供不能攻撃）を行う脅威源となり得る不正アクセス装置４が接続する可能性のある通信手段であって、例えば、インターネットである。

同図に示すように、情報処理システム１は、ＡＰサーバ１２の可用性の維持並びにセキュリティ性能の維持に関する機能を提供する情報処理装置（以下、可用性維持装置とも称する。）として、ファイアウォール１０（受信制限装置）、ロードバランサ１１（負荷分散装置）、データベースサーバ１３、負荷監視装置２０、スケーリング制御装置２１、課金管理装置２２、ネットワーク機器制御装置２３、検査設定装置３０、セキュリティ違反監視装置３２、及び総合判定制御装置３３を備える。これらの情報処理装置は、クラウドシステムのリソースプールから供出されるリソース（ハードウエアリソース（ＣＰＵ、メモリ、補助記憶装置、通信装置等）、ソフトウエアリソース（オペレーティングシステム、ミドルウエア、アプリケーション等）、及びネットワークリソース（通信帯域等））を用いて実現されている。尚、これらの機能は、例えば、クラウドシステムに導入されている仮想化管理ソフトウエア（ホスト型、ハイパーバイザ型等）によって管理される仮想マシン（Virtual Machine）によって実現されるものであってもよい。クラウドシステムのリソースは、例えば、データセンタ等に備えられたハードウエアによって提供される。

同図に示すように、ファイアウォール１０、ロードバランサ１１、及びＡＰサーバ１２は、クラウドシステムのネットワークリソースである第１クラウドネットワーク１４を介して互いに通信可能に接続されている。またＡＰサーバ１２とデータベースサーバ１３は、クラウドシステムのネットワークリソースである第２クラウドネットワーク１５を介して互いに通信可能に接続されている。またＡＰサーバ１２、負荷監視装置２０、スケーリング制御装置２１、課金管理装置２２、ネットワーク機器制御装置２３、検査設定装置３０、セキュリティ違反監視装置３２、及び総合判定制御装置３３は、クラウドシステムのネットワークリソースである管理ネットワーク２４を介して互いに通信可能に接続されている。

図２はＡＰサーバ１２や可用性維持装置を実現する情報処理装置のハードウエアの一例である。同図に示すように、この情報処理装置２００は、中央処理装置２０１、主記憶装置２０２、補助記憶装置２０３、通信装置２０４、入力装置２０５、及び出力装置２０６を備えている。これらは図示しないバス（bus）等の通信手段を介して通信可能に接続されている。ＡＰサーバ１２や可用性維持装置によって提供される機能は、情報処理装置２００が備えるハードウエアによって、もしくは、中央処理装置２０１が主記憶装置２０２や補助記憶装置２０３に格納されているプログラムを読み出して実行することにより実現される。

中央処理装置２０１は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等である。主記憶装置２０２は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＮＶＲＡＭ（Non Volatile RAM）等である。補助記憶装置２０３は、ハードディスクドライブ、ＳＳＤ（Solid State Drive）、光学式記憶装置等である。通信装置２０４は、他の装置と通信する通信インタフェースであり、例えば、ＮＩＣ（Network Interface Card）に相当する機能を有する。入力装置２０５は、ユーザから情報や指示の入力を受け付けるユーザインタフェースであり、例えば、キーボード、マウス、タッチパネル、カードリーダ、マイクロフォン等である。出力装置２０７は、ユーザに情報を提供するユーザインタフェースであり、例えば、グラフィックコントローラ、ＬＣＤ（Liquid Crystal Display）、印字装置、スピーカ等である。

ファイアウォール１０は、通信ネットワーク２から送られてくる通信データの受信（ファイアウォールのバックエンド側への通過）を所定の規則に従って制限する。ファイアウォール１０は、通信ネットワーク２から送られてくる通信データの受信制限を行うか否かを、例えば、ＯＳＩ（Open Systems Interconnection）参照モデルのネットワーク層(レイヤ３)又はトランスポート層(レイヤ４)の情報に基づき判定する。

ロードバランサ１１は、スケーラブルに展開される複数のＡＰサーバ１２間の負荷分散を行う。ロードバランサ１１は、例えば、通信ネットワーク２から受信した通信データについて発生する情報処理（タスク等）を行うＡＰサーバ１２を所定の負荷分散方式に従って決定し、決定したＡＰサーバ１２に情報処理を割り当てることにより、複数のＡＰサーバ１２間での負荷分散を実現する。上記の負荷分散方式には、静的な方式（ラウンドロビン方式、サーバごとに設定した重みや比率に応じて情報処理を割り当てる方式等）や動的な方式（コネクションが最も少ないサーバに情報処理を割り当てる最少コネクション方式、の応答速度が最も早いサーバに情報処理を割り当てる最短応答時間方式等）がある。

負荷監視装置２０は、管理ネットワーク２４を介してＡＰサーバ１２から送られてくる負荷監視データ３００を受信することにより、各ＡＰサーバ１２の負荷をリアルタイムに（例えば、所定の時間間隔で）監視する。

図３は、ＡＰサーバ１２から負荷監視装置２０に負荷の状況を伝達する際にＡＰサーバ１２から負荷監視装置２０に送信される、ＸＭＬ（eXtensible Markup Language）形式で記述されたデータ（以下、負荷監視データ３００と称する。）の一例である。同図に示すように、負荷監視データ３００は、ＡＰサーバ１２の識別子が設定される「<server_id>」、ＡＰサーバ１２のサーバ名が設定される「<server_name>」、当該負荷監視データ３００に記載される負荷を取得した時間が設定される「<time>」、ＡＰサーバ１２のＣＰＵ使用率が設定される「<cpu>」、ＡＰサーバ１２のメモリの使用量が設定される「<memory>」、ＡＰサーバ１２のネットワークの使用量が設定される「<network>」、ＡＰサーバ１２の補助記憶装置２０３の使用量が設定される「<disk>」、オプション情報が格納される「<option>」等のタグを用いて記述される各種の情報を含む。負荷監視データ３００に記載されるこれらの情報は、例えば、ＡＰサーバ１２において動作するオペレーティングシステムや仮想マシンを実現しているハイパーバイザ(hypervisor）等によって取得される。尚、負荷監視データ３００は、ＪＳＯＮ（JavaScript Object Notation（「Java」は登録商標）形式やＣＳＶ（comma-separated variables）形式等、ＸＭＬ以外の他の形式で記述されたものであってもよい。

図１に示すスケーリング制御装置２１は、ＡＰサーバ１２の（稼働）状態を制御することによりＡＰサーバ１２をスケールアウト（負荷分散先のＡＰサーバ１２の数を増やす）又はスケールイン（負荷分散先のＡＰサーバ１２の数を減らす）する。

図４にＡＰサーバ１２の状態遷移図を示している。同図に示すように、ＡＰサーバ１２は、クラウドシステムのリソースを割り当てて稼動中（ＯＮ）の状態である稼働中４１１、リソースを割り当ててはいるが停止中（ＳＴＯＰ）の状態である停止中４１２、及びリソースを解放中（ＯＦＦ）の状態である解放中４１３の３つの状態をとることができる。ＡＰサーバ１２の状態が解放中４１３から稼働中４１１に遷移する場合、スケーリング制御装置２１は、クラウドシステムのリソースプールから当該ＡＰサーバ１２にリソースを割り当てる。またＡＰサーバ１２の状態が割り当て中（稼働中４１１又は停止中４１２）から解放中４１３に遷移する場合、スケーリング制御装置２１は、ＡＰサーバ１２に割り当てられているリソースを解放してリソースプールに返却する。またＡＰサーバ１２の稼働状態が割り当て中（稼働中４１１又は停止中４１２）の場合はＡＰサーバ１２の稼動時間とＡＰサーバ１２の稼動数に応じてクラウドシステムの利用料（リソースの利用料）が発生し、ＡＰサーバ１２の稼働状態が解放中４１３の場合は利用料は発生しない。

図５はスケーリング制御装置２１が記憶するスケーリング制御データ５００の一例である。スケーリング制御データ５００の内容は、総合判定制御装置３３や負荷監視装置２０によって随時更新される。同図に示すように、スケーリング制御データ５００は、ＡＰサーバ識別子５０１、稼動状態５０２、及びサーバ負荷５０３の各項目を有する複数のレコードを含む。ＡＰサーバ識別子５０１には、ＡＰサーバ１２の識別子が格納される。稼動状態５０２には、ＡＰサーバ１２の稼動状態（稼働中４１１の場合は「ＯＮ」、停止中４１２の場合は「ＳＴＯＰ」）が格納される。サーバ負荷５０３には、負荷監視データ３００から取得されるＡＰサーバ１２の負荷を示す情報が格納される。サーバ負荷５０３は、例えば、負荷監視装置２０がＡＰサーバ１２から負荷監視データ３００を受信する都度更新される。

図１に示す課金管理装置２２は、ＡＰサーバ１２の稼動時間と稼動数に応じて、クラウドの利用者に請求するＡＰサーバ１２の利用料（課金金額）を算出する。

図６は課金管理装置２２が記憶する課金管理データ６００のデータ構造のイメージ図（ヒストグラム）である。同図において、横軸は時間であり、縦軸は課金対象となるＡＰサーバ１２の数である。利用料はＡＰサーバ１２の稼働時間と稼働数（総数）に比例して算出される。例えば、ｔ０〜ｔ５の時間帯では、領域６０１の面積に相当する利用料が発生する。またｔ５〜ｔ１０の時間帯では、領域６０２の面積に相当する利用料が発生する。

ＡＰサーバ１２では、通信ネットワーク２を介してクラウド利用装置３から送られてくる通信データに応じて情報処理を行うアプリケーションが機能する。またＡＰサーバ１２では、クラウド利用装置３から送られてくる通信データについてセキュリティに関する検査を行う検査部３１が機能する。検査部３１は、ＡＰサーバ１２による通信データについての情報処理の実行時のセキュリティ違反を検知する。

検査部３１の動作設定（検査部３１が行う検査項目の設定）は、検査設定装置３０によって行うことができる。検査部３１による検査の結果はセキュリティ違反監視装置３２に随時送信され、各ＡＰサーバ１２の検査の結果がセキュリティ違反監視装置３２に集約される。

図７は検査設定装置３０が検査部３１の設定に際してユーザに提示する画面（以下、検査項目設定画面７００と称する。）の一例である。ユーザは、検査項目設定画面７００を介して、検査部３１の設定（フォーマット違反７１０の設定、コンテンツ違反７２０の設定、及びコンテキスト違反７３０の設定）を行う。

同図に示すように、フォーマット違反７１０の設定欄には、クラウド利用装置３から送られてくる通信データについて「ＸＭＬパーサ処理の失敗」、「ＪＳＯＮパーサ処理の失敗」、及び「データ長の不一致」の夫々について検査を行うか否かを設定するためのチェックボックス７１１〜７１３が設けられている。このうち「データ長の不一致」については、設定ボタン７１４を選択して図示しない設定画面を表示させることにより、より詳細な設定を行うことができる。

コンテンツ違反７２０の設定項目には、クラウド利用装置３から送られてくる通信データについて「ウイルスコードの検知」、「電文データからＤＢデータへの変換の失敗」、「署名検証の失敗」、及び「データ復号の失敗」の夫々について検査を行うか否かを設定するためのチェックボックス７２１〜７２４が設けられている。このうち「電文データからＤＢデータへの変換の失敗」については、設定ボタン７２５を選択して図示しない設定画面を表示させることにより、より詳細な設定を行うことができる。

コンテキスト違反７３０の設定項目には、クラウド利用装置３から送られてくる通信データについて「失効した証明書の検知」、「ＧＰＳ位置情報の不一致」、「文字コードの不一致」、及び「テナントＩＤの不一致」(テナントＩＤについては後述する。）の夫々について検査を行うか否かを設定するためのチェックボックス７３１〜７３４が設けられている。

検査項目設定画面７００の下部に設けられているボタン７４０が選択されると、検査項目設定画面７００に設定された内容が検査設定装置３０から複数のＡＰサーバ１２の検査部３１に自動的に送信され、各ＡＰサーバ１２の検査部３１に最新の設定内容が反映される。尚、設定項目は、負荷分散先となるＡＰサーバ１２の検査部３１の全てに同じ内容を配信してもよいし、例えば、ＡＰサーバ１２の夫々が提供するサービスの特性等に応じてＡＰサーバ１２ごとに設定内容を調整するようにしてもよい。

図１に示す総合判定制御装置３３は、ＡＰサーバ１２の負荷とセキュリティ違反監視装置３２に集約されるセキュリティ違反の双方に基づき、ＡＰサーバ１２のスケール（稼働させるＡＰサーバ１２の数）を制御する。また総合判定制御装置３３は、ネットワーク機器制御装置２３を介して、スケーリング制御装置２１、ファイアウォール１０、及びロードバランサ１１を制御する。

図１に示すセキュリティ違反監視装置３２は、ＡＰサーバ１２の検査部３１から送られてくるセキュリティ違反データ８００を受信し、受信したセキュリティ違反データ８００を蓄積管理する。

図８は検査部３１からセキュリティ違反監視装置３２に送信されるＸＭＬ形式で記述されたデータ（以下、セキュリティ違反データ８００と称する。）の一例である。セキュリティ違反データ８００は、例えば、検査部３１にてセキュリティ違反が検知されたことを契機として検査部３１からセキュリティ違反監視装置３２に送信される。セキュリティ違反監視装置３２は、セキュリティ違反データ８００を受信することにより、ＡＰサーバ１２の夫々におけるセキュリティ違反の状況を把握することができる。

同図に示すように、セキュリティ違反データ８００は、ＡＰサーバ１２を区別する識別子が設定される「<server_id>」、ＡＰサーバ１２の名称が設定される「<server_name>」、セキュリティ違反が検知された時刻が設定される「<time>」、クラウド利用装置３のネットワークアドレス（例えばＩＰアドレス）が設定される「<device_from>」、フォーマット違反の内容が設定される「<violation_format>」、コンテンツ違反の内容が設定される「<violation_content>」、コンテキスト違反の内容が設定される「<violation_context>」、クラウド利用装置３が属するテナントの識別子（第２実施例にて説明）が格納される「<tenant_id>」、オプション情報が格納される「<option>」等のタグで記述された各種の情報を含む。尚、セキュリティ違反データ８００は、ＪＳＯＮ形式やＣＳＶ形式等のＸＭＬ以外の他の形式で記述されるものであってもよい。

続いて、以上の構成からなる情報処理システム１において行われる処理について説明する。

＜検査処理＞
図９は、ＡＰサーバ１２が通信ネットワーク２を介してクラウド利用装置３から通信データを受信した際に当該通信データについて当該ＡＰサーバ１２（検査部３１）が行う処理（以下、検査処理Ｓ９００とも称する。）を説明するフローチャートである。以下、同図とともに説明する。尚、ＡＰサーバ１２は、通信データを受信する都度、同図におけるＳ９０１からＳ９０７の処理を実行する。

まずＳ９０２では、ＡＰサーバ１２がクラウド利用装置３から通信データを受信し、当該通信データの検査を開始する。

Ｓ９０３では、ＡＰサーバ１２は、受信した通信データについてフォーマット違反の有無を検査する。フォーマット違反が検知されない場合（Ｓ９０３：違反なし）、ＡＰサーバ１２はＳ９０４の処理を行う。フォーマット違反が検知された場合（Ｓ９０３：違反あり）、ＡＰサーバ１２はＳ９０６の処理を行う。

Ｓ９０４では、ＡＰサーバ１２は、受信した通信データについてコンテンツ違反の有無を検査する。コンテンツ違反が検知されない場合（Ｓ９０４：違反なし）、ＡＰサーバ１２はＳ９０５の処理を行う。コンテンツ違反が検知された場合（Ｓ９０４：違反あり）、ＡＰサーバ１２はＳ９０６の処理を行う。

Ｓ９０５では、ＡＰサーバ１２は、受信した通信データについてコンテキスト違反の有無を検査する。コンテキスト違反が検知されない場合（Ｓ９０５：違反なし）、ＡＰサーバ１２はＳ９０２からの処理を行う。コンテキスト違反が検知された場合（Ｓ９０５：違反あり）、ＡＰサーバ１２はＳ９０６の処理を行う。

Ｓ９０６では、ＡＰサーバ１２は、セキュリティ違反データ８００を生成してセキュリティ違反監視装置３２に送信する。その後、ＡＰサーバ１２はＳ９０２からの処理を行う。

フォーマット違反、コンテンツ違反、及びコンテキスト違反のいずれかのセキュリティ違反が検知されると、ＡＰサーバ１２からセキュリティ違反監視装置３２にセキュリティ違反データ８００が送信され、セキュリティ違反監視装置３２に各ＡＰサーバ１２におけるセキュリティ違反の発生数が集約して管理される。

ＡＰサーバ１２は、以上の仕組みによりレイヤ５以上のセキュリティ違反を検知するので、トラヒック量を増大させることなく、アプリケーションレベルでメモリを食いつぶすような攻撃についてもこれをセキュリティ違反として確実に検知することができる。

＜総合判定制御処理＞
図１０は総合判定制御装置３３が行う処理（以下、総合判定制御処理Ｓ１０００とも称する。）を説明するフローチャートである。以下、同図とともに説明する。尚、総合判定制御装置３３は、同図におけるＳ１００１〜Ｓ１０１２までの処理を所定の間隔で繰り返し実行する。

Ｓ１００２では、総合判定制御装置３３は、セキュリティ違反監視装置３２からセキュリティ違反の発生数の合計（負荷分散先の全てのＡＰサーバ１２におけるセキュリティ違反の発生数の合計）を受信する。尚、総合判定制御装置３３がセキュリティ違反監視装置３２からセキュリティ違反の発生数のみを受信し、発生数の合計については総合判定制御装置３３が算出するようにしてもよい。

Ｓ１００３では、総合判定制御装置３３は、各ＡＰサーバ１２から負荷監視データ３００を受信してＡＰサーバ１２の負荷を取得する。

Ｓ１００４では、総合判定制御装置３３は、ＡＰサーバ１２の負荷の傾向、セキュリティ違反の傾向、及びこれらの関係等の判定に用いる情報である、時系列監視マトリクスを生成する。

図１１は時系列監視マトリクスの一例である。同図に示すように、時系列監視マトリクス１１００は、ＡＰサーバ１２の平均負荷（負荷分散先の複数のＡＰサーバ１２の平均負荷）を横軸とし、検査部３１で見つかったセキュリティ違反の発生数の合計を縦軸として、所定の単位期間ごとに、平均負荷とセキュリティ違反の発生数の合計との関係をプロット１１０１したものである。総合判定制御装置３３は、ＡＰサーバ１２がサービスを提供している期間中、最新の情報（平均負荷とセキュリティ違反の発生数）に基づきプロット１１０１を繰り返し生成する。

ここで例えばクラウド利用装置３から送られてくる通信データの数が増加傾向にある場合、プロット１１０１は横軸に沿って平均負荷が高くなる方向に移動していく。またセキュリティ違反の発生数が増加傾向にある場合、プロット１１０１は縦軸に沿ってセキュリティ違反の発生数が増加する方向に移動していく。そしてこのようにＡＰサーバ１２の平均負荷とセキュリティ違反の発生数との関係をマトリクス状に表現することで、総合判定制御装置３３は、セキュリティ違反とはとくに関係なく通信データが増加することに因ってＡＰサーバ１２の負荷が高くなっているのか、それともセキュリティ違反が生じていることに因ってＡＰサーバ１２の負荷が高くなっているのかを判定することができる。

図１０に戻り、Ｓ１００５では、総合判定制御装置３３は、ＡＰサーバ１２が現在、過負荷傾向であるか否かを判定する。総合判定制御装置３３は、例えば、時系列監視マトリクス１１００においてプロット１１０１が所定の個数だけ連続してＡＰサーバ１２の平均負荷について設定された所定の閾値を超えているか否かに基づき、ＡＰサーバ１２が現在、過負荷傾向であるか否かを判定する。

ＡＰサーバ１２が現在、過負荷傾向であると判定すると（Ｓ１００５：過負荷）、総合判定制御装置３３はＳ１００６からの処理を行う。一方、ＡＰサーバ１２が現在、過負荷傾向でないと判定すると（Ｓ１００５：いいえ）、総合判定制御装置３３はＳ１０１０からの処理を行う。

Ｓ１００６では、総合判定制御装置３３は、セキュリティ違反が現在、増加傾向であるか否かを判定する。総合判定制御装置３３は、例えば、時系列監視マトリクス１１００を参照し、プロット１１０１のセキュリティ違反の発生数が、所定の個数だけ連続してセキュリティ違反の発生数について設定された所定の閾値を超えている場合にセキュリティ違反が現在、増加傾向であると判定する。

総合判定制御装置３３は、セキュリティ違反が現在、増加傾向であると判定すると（Ｓ１００６：増加傾向）、ファイアウォール１０を制御して受信制限を強化する。受信制限の強化は、例えば、統合判定制御装置３３がファイアウォール１０に受信制限を指示する制御データ（以下、ネットワーク機器制御データ１２００とも称する。）を送信することにより行われる。尚、受信制限の強化に加え、必要な限度でＡＰサーバ１２のスケールアウトを実施するようにしてもよい。

図１２にネットワーク機器制御データ１２００の一例を示している。ネットワーク機器制御データ１２００はＸＭＬ形式で記述されている。同図に示すように、ネットワーク機器制御データ１２００は、制御対象のネットワーク機器の識別子が設定される「<network_id>」、ネットワーク機器の受信制限ルールに追加する内容が設定される「<add_rule>」、オプション情報が格納される「<option>」等のタグで記述された各種の情報を含む。尚、ネットワーク機器制御データ１２００は、ＪＳＯＮ形式やＣＳＶ形式等のＸＭＬ以外の他の形式で記述されたものであってもよい。

一方、Ｓ１００６においてセキュリティ違反が現在、増加傾向でないと判定すると（Ｓ１００６：いいえ）、総合判定制御装置３３は、スケーリング制御装置２１を制御してＡＰサーバ１２をスケールアウトする。具体的には、総合判定制御装置３３は、スケーリング制御装置２１を制御することにより、状態が解放中４１３のＡＰサーバ１２のいずれかを稼働中４１１の状態に遷移させる。また総合判定制御装置３３は、スケーリング制御データ５００の稼動状態５０２を最新の内容に更新する。

Ｓ１０１０では、総合判定制御装置３３は、ＡＰサーバ１２が現在、低負荷傾向であるか否かを判定する。総合判定制御装置３３は、例えば、時系列監視マトリクス１１００を参照し、プロット１１０１の平均負荷が、所定の個数だけ連続して、平均負荷について設定された所定の閾値未満である場合に、ＡＰサーバ１２が現在、低負荷傾向であると判定する。

総合判定制御装置３３は、ＡＰサーバ１２が現在、低負荷傾向であると判定すると（Ｓ１０１０：低負荷）、スケーリング制御装置２１を制御してＡＰサーバ１２をスケールインする（Ｓ１０１１）。これにより低負荷時にＡＰサーバ１２が不必要に供出されるのを防いでＡＰサーバ１２の利用料を抑えることができる。ＡＰサーバ１２のスケールインは、例えば、総合判定制御装置３３がスケーリング制御装置２１を制御して稼働中のＡＰサーバ１２のいずれかにおいてロードバランサ１１によるタスクの割り当て数を減らしておき、割り当てられているタスクが０になっている間にＡＰサーバ１２の状態を停止中４１２に遷移させることにより行う。尚、このとき、総合判定制御装置３３は、スケーリング制御データ５００の稼動状態５０２を最新の内容に更新する。

一方、ＡＰサーバ１２が現在、低負荷傾向でないと判定すると（Ｓ１０１０：いいえ）、総合判定制御装置３３はＳ１００２からの処理を行う。

以上のように、総合判定制御処理Ｓ１０００は、ＡＰサーバ１２の平均負荷の傾向とセキュリティ違反の発生数の傾向の双方を考慮してＡＰサーバ１２のスケールを適切に制御するので、ＡＰサーバ１２の利用料を不必要に増大させることなく、ＡＰサーバ１２の負荷の増大やＤｏＳ攻撃を受けることによるＡＰサーバ１２の可用性の低下を防ぐことができる。

＜スケーリング総合判定画面＞
図１３は総合判定制御装置３３が表示するスケーリング総合判定画面１３００である。同図に示すように、スケーリング総合判定画面１３００には、現在時刻１３０１、テナント名１３０２（第２実施例で説明）、ＡＰサーバ１２の負荷を監視するグラフ１３０３、セキュリティ違反数を監視するグラフ１３０４、受信制限の規則の更新履歴１３０５、現在割り当て中（稼働中４１１又は停止中４１２）のＡＰサーバ１２の数を示すグラフ１３０６、受信制限を実施しない場合における課金分析結果グラフ１３０７、所定期間の課金額１３０８、及び受信制限しない場合における所定期間の課金額１３０９が表示される。

ユーザは、スケーリング総合判定画面１３００を参照することで、ＡＰサーバ１２の平均負荷、ＡＰサーバ１２で受信したデータのセキュリティ違反数、現在割り当て中のＡＰサーバ１２の数、及びＡＰサーバ１２の利用料（課金額）等の情報を得ることができる。またユーザは、所定期間の課金額１３０８と、受信制限しない場合の所定期間の課金額１３０９とを対照することで、受信制限を強化することによる効果を検証することができる。またユーザがポインタ１３１０をセキュリティ違反監視グラフ１３０４の部分に重ねることで、当該部分におけるセキュリティ違反データ８００の内容が自動的に表示される。これによりユーザは、セキュリティ違反の内容とセキュリティ違反に起因して行われる受信制限とを同時に対照することができ、発生したセキュリティ違反に対して有効に受信制限が機能しているか否かを容易に確認することができる。
＝第２実施例＝

図１に示した情報処理システム１は、マルチテナントの環境下で実施することもできる。以下、図１において、クラウド利用装置３ａがテナントＡ群のクラウド利用装置であり、クラウド利用装置３ｂはテナントＢ群のクラウド利用装置であり、クラウド利用装置３ｃはテナントＣ群のクラウド利用装置である場合を例として、情報処理システム１をマルチテナントの環境下で実施する場合について説明する。

ＡＰサーバ１２は、ロードバランサ１１から割り当てられた通信データに対して、第１実施例の場合と同様の処理を行うと共に、通信データがいずれのテナントから送信されたものであるのかを判定する。この判定は、例えば、通信データに含まれている情報（送信元のクラウド利用装置３のＩＰアドレス範囲、クラウド利用装置３の識別子等）に基づき行うことができる。また前回の通信データの受信応答時にＡＰサーバ１２においてテナントを判定し、判定結果（以下、テナントＩＤと称する）を記載した小さなデータ（例えば、クッキー（Cookie））をＡＰサーバ１２からクラウド利用装置３に送り、クラウド利用装置３がＡＰサーバ１２に送信する通信データに上記テナントＩＤを含めて送るようにし、ＡＰサーバ１２が通信データの受信時に上記テナントＩＤを参照して当該通信データの送信元のクラウド利用装置３のテナントを判定する方法もある。

通信データに関してデータベースサーバ１３に管理されるデータは、ＡＰサーバ１２で判定されたテナントＩＤを付与して管理するように、例えば、テナントＩＤごとに異なるテーブルにデータを格納するようにする。これにより、例えば、ＡＰサーバ１２がデータベースサーバ１３にアクセスする際、テナントＩＤの異なるデータは参照しないようにすることができ、効率よくデータベースサーバ１３にアクセスすることが可能になる。

図７の検査項目設定画面７００には、コンテキスト違反７３０として、テナントＩＤの不一致を確認するチェックボックス７３４を設けているが、テナントＩＤの不一致の検査は、例えば、通信データに含まれているテナントＩＤとデータベースサーバ１３に管理されるデータに付与されているテナントＩＤとを対照することにより行うことができる。この検査によって検査部３１がテナントＩＤの不一致を見つけた場合、図８のセキュリティ違反データ８００の「<tenant_id>」に違反のあったテナントＩＤが格納される。またこのテナントＩＤは、セキュリティ違反監視装置３２に通知され、例えば、ファイアウォール１０による受信制限規則に反映される。

尚、マルチテナント構成の場合、テナントごとにサービス利用の繁茂期と閑散期が多様になることが想定され、スケールアウトやスケールインが実施される機会が増えることが予想されるが、以上の構成よれば、そのような場合でもクラウド利用装置３から送られてくる通信データのうちセキュリティ違反（テナントＩＤが不一致）であるものを確実に検知することができ、ＡＰサーバ１２を不必要にスケールアウトさせることなく、確実に受信制限を行うことができる(図１０のＳ１００７）。そのため、ＡＰサーバ１２を不必要にスケールアウトさせて利用料を増大させることなく、サービスの可用性を維持することができる。
＝第３実施例＝

図１４に第３実施例として示す情報処理システム１の概略的な構成を示している。同図に示すように、第３実施例の情報処理システム１は、複数のクラウドシステム（フロントエンドクラウドシステム１４００及びバックエンドクラウドシステム１４１０）を組み合わせることにより構成されている。尚、同図において、第１実施例における装置と同じ名称の装置は、第１実施例における装置と同様の機能を有するものとする。

同図におけるフロントエンドクラウドシステム１４００は、通信ネットワーク２を介してクラウド利用装置３a〜３ｃと通信可能に接続している。同図に示すように、フロントエンドクラウドシステム１４００は、ファイアウォール１４０１、ロードバランサ１４０２、ネットワーク機器制御装置１４０３、検査設定装置１４０４、セキュリティ違反監視装置１４０５、及び総合判定制御装置１４０６を備える。

フロントエンドクラウドシステム１４００は、第３クラウドネットワーク１６を介して複数のバックエンドクラウドシステム１４１０と通信可能に接続している。ロードバランサ１４０２は、複数のバックエンドクラウドシステム１４１０の夫々の負荷に応じて複数のバックエンドクラウドシステム１４１０に通信ネットワーク２から受信した通信データについて発生する情報処理（タスク等）を割り当てることにより、複数のバックエンドクラウドシステム１４１０間（各バックエンドクラウドシステム１４１０の複数のＡＰサーバ１４１３間）での負荷分散を実現する。

バックエンドクラウドシステム１４１０は、夫々、負荷監視装置１４１１、スケーリング制御装置１４１２、ＡＰサーバ１４１３、検査部１４１４、及び図示しないデータベースサーバを備える。

各バックエンドクラウドシステム１４１０のスケーリング制御装置１４１２は、各バックエンドクラウドシステム１４１０のＡＰサーバ１４１３の状態を制御する。検査部１４１４の設定項目の設定は、第３クラウドネットワーク１６を介して、フロントエンドクラウドシステム１４００の検査設定装置１４０４によって行われる。各バックエンドクラウドシステム１４１０のＡＰサーバ１４１３の検査部１４１４は、セキュリティ違反データ８００を、第３クラウドネットワーク１６を介してフロントエンドクラウドシステム１４００のセキュリティ違反監視装置１４０５に送信する。

フロントエンドクラウドシステム１４００の総合判定制御装置１４０６は、時系列監視マトリクス８００を生成し、バックエンドクラウドシステム１４１０全体での平均負荷とセキュリティ違反の発生数の合計とに基づき、図１０と同様の処理により、各バックエンドクラウドシステム１４１０のＡＰサーバ１４１３のスケールイン又はスケールアウト、及び受信制限の強化等の制御を行う。これにより情報処理システム１全体として、ＡＰサーバ１４１３の利用料を不必要に増大させることなくＡＰサーバ１４１３の可用性の低下を防ぐことができる。

ところで、本発明は上記した実施例に限定されるものではなく、他の様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウエアで実現してもよい。また上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウエアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１ 情報処理システム、２ 通信ネットワーク、３ クラウド利用装置、４ 不正アクセス装置、１０ ファイアウォール、１１ ロードバランサ、１２ ＡＰサーバ、１３ データベースサーバ、１４ 第１クラウドネットワーク、１５ 第２クラウドネットワーク、２０ 負荷監視装置、２１ スケーリング制御装置、２２ 課金管理装置、２３ ネットワーク機器制御装置、２４ 管理ネットワーク、３０ 検査設定装置、３１ 検査部、３２ セキュリティ違反監視装置、３３ 総合判定制御装置、２００ 情報処理装置、３００ 負荷監視データ、５００ スケーリング制御データ、６００ 課金管理データ、７００ 検査項目設定インタフェース、８００ セキュリティ違反データ、Ｓ９００ 検査処理、Ｓ１０００ 総合判定制御処理、１１００ 時系列監視マトリクス、１１００ スケーリング総合判定インタフェース、１２００ ネットワーク制御データ、１３００ スケーリング総合判定画面

Claims (14)

1. 通信ネットワークを介して送られてくる通信データを受信して情報処理を行うサーバ装置、
   前記通信データの受信制限を行う受信制限装置、
   前記サーバ装置の負荷を監視する負荷監視装置、
   前記サーバ装置の負荷に応じて前記サーバ装置をスケールアウト又はスケールインするスケーリング制御装置、
   前記サーバ装置による前記情報処理の実行時のセキュリティ違反を検知するセキュリティ違反監視装置、及び、
   前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にない場合は前記サーバ装置をスケールアウトし、前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にある場合は前記受信制限装置による前記受信制限を強化する総合判定制御装置
   を備えることを特徴とする情報処理システム。
2. 請求項１に記載の情報処理システムであって、
   前記サーバ装置による情報処理の実行時のセキュリティ違反は、ＯＳＩ（Open Systems Interconnection）のレイヤ５以上において検知されるセキュリティ違反である
   ことを特徴とする情報処理システム。
3. 請求項１に記載の情報処理システムであって、
   前記サーバ装置の負荷が低負荷傾向にある場合は前記サーバ装置をスケールインする
   ことを特徴とする情報処理システム。
4. 請求項１に記載の情報処理システムであって、
   前記サーバ装置はクラウドシステムのリソースを用いて構成され、
   前記通信データは、前記通信ネットワークを介して前記クラウドシステムを利用する装置から送信される
   ことを特徴とする情報処理システム。
5. 請求項１に記載の情報処理システムであって、
   前記受信制限装置はファイアウォールである
   ことを特徴とする情報処理システム。
6. 請求項１に記載の情報処理システムであって、
   前記サーバ装置のスケールに応じて利用料を算出する課金管理装置
   をさらに備えることを特徴とする情報処理システム。
7. 請求項５に記載の情報処理システムであって、
   前記受信制限を強化したときの前記サーバ装置の利用料と、前記受信制限を強化しないときの前記サーバ装置の利用料とを対比した情報を出力する装置
   をさらに備えることを特徴とする情報処理システム。
8. 請求項１に記載の情報処理システムであって、
   前記セキュリティ違反は、前記通信データのフォーマット違反、コンテンツ違反、コンテキスト違反のうちの少なくともいずれかである
   ことを特徴とする情報処理システム。
9. 請求項８に記載の情報処理システムであって、
   前記フォーマット違反は、ＸＭＬパーサ処理の失敗、ＪＳＯＮパーサ処理の失敗、及びデータ長の不一致のうちの少なくともいずれかである
   ことを特徴とする情報処理システム。
10. 請求項８に記載の情報処理システムであって、
    前記コンテンツ違反は、ウイルスコードの検知、電文データからＤＢデータへの変換失敗、署名検証の失敗、及びデータ復号の失敗のうちの少なくともいずれかである
    ことを特徴とする情報処理システム。
11. 請求項８に記載の情報処理システムであって、
    前記コンテキスト違反は、失効した証明書の検知、前記通信データに含まれるＧＰＳ位置情報の不一致、及び文字コードの不一致のうちの少なくともいずれかである
    ことを特徴とする情報処理システム。
12. 請求項１に記載の情報処理システムであって、
    前記サーバ装置はマルチテナントで運用されるクラウドシステムのリソースを用いて構成され、
    前記通信データが所属するテナントが予め記憶しているいずれのテナントにも一致しない場合に前記通信データを受信制限装置により受信制限するテナント判定処理部を備える
    ことを特徴とする情報処理システム。
13. 通信ネットワークを介して送られてくる通信データを受信して情報処理を行うサーバ装置、
    前記通信データの受信制限を行う受信制限装置、
    前記サーバ装置の負荷を監視する負荷監視装置、
    前記サーバ装置の負荷に応じて前記サーバ装置をスケールアウト又はスケールインするスケーリング制御装置、
    前記サーバ装置による前記情報処理の実行時のセキュリティ違反を検知するセキュリティ違反監視装置、及び
    総合判定制御装置、
    を備えて構成される情報処理システムにおける情報処理方法であって、
    前記総合判定制御装置が、
    前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にない場合は前記サーバ装置をスケールアウトし、前記サーバ装置の負荷が過負荷傾向にあり、かつ、前記セキュリティ違反が増加傾向にある場合は前記受信制限装置による前記受信制限を強化する
    をことを特徴とする情報処理方法。
14. 請求項１３に記載の情報処理方法であって、
    前記サーバ装置による情報処理の実行時のセキュリティ違反は、ＯＳＩのレイヤ５以上において検知されるセキュリティ違反である
    ことを特徴とする情報処理方法。

Images